재현 단계:

1. 인증된 사용자로 로그인합니다.
2. Job / Course / Batch 생성 또는 편집 페이지로 이동합니다.
3. 설명 필드에 페이로드를 붙여넣습니다.
4. 양식을 저장합니다.
5. 생성된 Job / Course / Batch를 엽니다.
6. 브라우저에서 JavaScript가 실행됩니다.

근본 원인

• 서버 측 HTML 삽입 방지(sanitization) 누락 또는 불충분
• 사용자 제공 입력의 안전하지 않은 렌더링
• 템플릿에서 출력 인코딩 부재

수정 / 완화

공식 패치

• 수정 버전: 2.42.0

적용된 보안 개선 사항

• 입력에 대한 적절한 HTML 삽입 방지(sanitization)
• 렌더링 전 안전한 출력 인코딩
• 실행 가능한 태그 및 속성 제한

권장 모범 사례

• 항상 서버 측에서 사용자 입력을 삽입 방지(sanitize)
• 상황(HTML, JS, URL)에 따라 출력 인코딩 적용
• 신뢰할 수 있는 HTML 삽입 방지 도구(예: DOMPurify) 사용
• 콘텐츠 보안 정책(CSP) 구현

타임라인

• 보고자: Dharan Raghunathan
• 상태: 수정됨
• 패치 릴리스: 버전 2.42.0

감사의 말

이 문제는 Dharan Raghunathan에 의해 책임 있는 방식으로 공개되었습니다.

참고 자료

• OWASP 저장형 XSS: https://owasp.org/www-community/attacks/xss/
• CWE-79: 웹 페이지 생성 중 입력의 부적절한 중화(Improper Neutralization)
• GitHub Advisory: https://github.com/frappe/lms/security/advisories/GHSA-jjc4-j3hw-33h2

면책 조항

이 문서는 교육 및 방어적 보안 목적으로만 제공됩니다.